CVE-2023-38745
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Pandoc w wersjach przed 3.1.6 umożliwia zapis dowolnych plików, co może być wywołane przez dostarczenie spreparowanego elementu obrazu w danych wejściowych podczas generowania plików za pomocą opcji --extract-media lub przy wyjściu do formatu PDF.
Ocena ryzyka
Atakujący może tworzyć lub nadpisywać dowolne pliki, w zależności od uprawnień procesu uruchamiającego Pandoc, co stanowi poważne zagrożenie dla bezpieczeństwa systemów przetwarzających nieufne dane wejściowe.
Rekomendacja
Zaleca się aktualizację Pandoc do wersji 3.1.6 lub nowszej oraz unikanie przetwarzania nieufnych danych wejściowych, szczególnie przy użyciu opcji --extract-media lub generowaniu plików PDF.
Oryginalny opis (angielski, źródło NVD)
Pandoc before 3.1.6 allows arbitrary file write: this can be triggered by providing a crafted image element in the input when generating files via the --extract-media option or outputting to PDF format. This allows an attacker to create or overwrite arbitrary files, depending on the privileges of the process running Pandoc. It only affects systems that pass untrusted user input to Pandoc and allow Pandoc to be used to produce a PDF or with the --extract-media option. NOTE: this issue exists because of an incomplete fix for CVE-2023-35936 (failure to properly account for double encoded path names).